Le 6 octobre 2026, l’équipe WordPress a publié WordPress 7.1.3, une version de maintenance et de sécurité qui corrige 7 failles et 4 bugs. Comme le précise l’annonce officielle sur WordPress.org, il s’agit d’une mise à jour de sécurité qu’il est recommandé d’appliquer immédiatement sur tous vos sites.
Dans le même temps, la prochaine version majeure se dessine : WordPress 7.2 entre en phase bêta le 20 octobre 2026, pour une sortie prévue le 8 décembre. Au programme : un nouveau thème par défaut, un renforcement de la sécurité des mots de passe d’application et de nombreuses évolutions de l’éditeur.
Si votre site vitrine, votre site e-commerce ou votre intranet tourne sous WordPress, ces deux actualités vous concernent directement. Nous faisons le point sur ce qui change et sur ce que nous vous conseillons de faire dans les semaines qui viennent.
WordPress 7.1.3 : ce qui a été annoncé
Cette version corrige 7 vulnérabilités de sécurité, dont plusieurs touchent des fonctions utilisées au quotidien par les sites d’entreprise :
- une faille XSS stockée sur la page d’administration des commentaires, exploitable via des commentaires en attente de modération ;
- une injection SQL de second ordre dans l’export WXR (l’outil d’export des contenus) ;
- la divulgation, sans authentification, de commentaires publiés sur des articles privés ou non publiés ;
- une faille XSS dans les contenus embarqués depuis Imgur ;
- un risque de déni de service (DoS) dans une fonction de traitement des URL ;
- la possibilité pour un utilisateur au rôle « Auteur » de mettre des articles en avant (« épingler »), ce qui dépasse ses droits normaux ;
- des paramètres falsifiables transmis à un hook interne, pouvant provoquer des collisions d’actions.
Les correctifs sont rétroportés sur toutes les branches encore éligibles aux correctifs de sécurité, « actuellement jusqu’à la 4.7 » selon WordPress.org. L’équipe rappelle toutefois que seule la version la plus récente est activement maintenue. Les sites dont les mises à jour automatiques en arrière-plan sont actives se mettent à jour d’eux-mêmes ; les autres doivent passer par le menu « Mises à jour » du tableau de bord.
Cette publication s’inscrit dans une série rapprochée : WordPress 7.1.1 (17 septembre, 11 correctifs de sécurité) puis 7.1.2 (22 septembre, une faille jugée critique) ont précédé la 7.1.3. Trois versions de sécurité en trois semaines : le rythme montre à quel point la maintenance régulière d’un site WordPress n’est plus optionnelle.
WordPress 7.2 : le calendrier et les nouveautés prévues
D’après le point mensuel du blog développeurs de WordPress publié le 14 octobre, WordPress 7.2 suivra ce calendrier : bêta 1 le 20 octobre, première release candidate le 17 novembre, version finale le 8 décembre 2026. Ce sera la dernière version majeure de l’année.
Ce qui devrait arriver
- Ipsum, un nouveau thème par défaut : un thème de blog minimaliste dont toutes les variations de style respectent le niveau d’accessibilité WCAG AA. WordPress abandonne au passage les noms de thèmes liés à l’année (Twenty Twenty-Five, etc.).
- Des mots de passe d’application mieux protégés : notification par e-mail lorsqu’un nouveau mot de passe d’application est créé, détection des environnements non HTTPS, rôles par défaut plus sûrs. Ces mots de passe servent notamment aux connexions entre votre site et des outils externes (CRM, applications, automatisations).
- Un filtrage du HTML plus strict : la fonction qui nettoie le contenu saisi (wp_kses) est reconstruite sur une nouvelle base, ciblée pour la 7.2 ou la 7.3 selon les tests.
- De nouveaux blocs et outils d’édition : bloc « liste de descriptions », amélioration du bloc « table des matières », recherche par mot-clé dans le bloc Icône, nouvelles options de design.
L’équipe WordPress précise que cette feuille de route n’est pas une garantie : certains éléments pourraient être reportés. Elle signale aussi des changements techniques susceptibles d’affecter des thèmes ou extensions sur mesure, par exemple le passage des icônes du cœur d’un remplissage à un tracé, qui peut casser certaines feuilles de style.
Ce que WordPress 7.1.3 et 7.2 changent pour votre entreprise
Pour un dirigeant de PME, l’enjeu n’est pas technique : il est commercial et réputationnel. Une faille XSS exploitée sur la page des commentaires, c’est potentiellement un compte administrateur compromis, un site défiguré, des redirections vers des sites frauduleux ou un blocage par Google. Les commentaires d’articles privés exposés, ce sont des informations internes qui fuient.
Côté WordPress 7.2, la bonne nouvelle concerne la sécurité des connexions entre votre site et vos outils métiers. Le point de vigilance, c’est la compatibilité : un thème ancien ou une extension développée sur mesure peut réagir mal au nouveau filtrage du HTML ou aux nouvelles icônes. Mieux vaut le découvrir sur un environnement de test qu’en production, un lundi matin.
Ce que nous vous conseillons de faire
- Vérifiez votre version dès aujourd’hui : dans le tableau de bord, menu « Mises à jour ». Si vous n’êtes pas en 7.1.3 (ou sur la dernière version de votre branche), mettez à jour après une sauvegarde complète.
- Contrôlez les mises à jour automatiques : assurez-vous qu’elles sont actives au moins pour les versions de sécurité du cœur de WordPress.
- Faites le ménage dans vos extensions : supprimez celles qui ne servent plus et mettez à jour les autres. Les failles viennent très souvent des extensions plutôt que du cœur.
- Passez en revue vos mots de passe d’application (profil utilisateur) et révoquez ceux qui ne sont plus utilisés, sans attendre la 7.2.
- Anticipez la 7.2 : prévoyez un test sur une copie de votre site (préproduction) entre fin novembre et début décembre, surtout si votre thème ou certaines extensions ont été développés sur mesure.
- Ne vous précipitez pas le jour J : pour un site qui génère du chiffre d’affaires, attendre quelques jours après le 8 décembre et la première version corrective est souvent un bon compromis.
Si vous n’avez ni le temps ni les ressources internes pour suivre ce rythme, c’est précisément l’objet de notre offre de maintenance préventive WordPress : mises à jour testées, sauvegardes, surveillance de la sécurité. Pour des interventions ponctuelles ou un accompagnement continu, notre service de webmaster WordPress prend le relais.
En résumé
WordPress 7.1.3, publiée le 6 octobre 2026, corrige 7 failles de sécurité et doit être installée sans délai. WordPress 7.2, attendue le 8 décembre après une bêta lancée le 20 octobre, apportera un nouveau thème par défaut, Ipsum, et une meilleure protection des mots de passe d’application, mais demandera de vérifier la compatibilité des sites personnalisés. Dans les deux cas, la clé reste la même : un site sauvegardé, à jour et testé avant chaque version majeure.
Vous voulez savoir où en est votre site WordPress ou préparer sereinement le passage à la 7.2 ? Parlons-en : contactez notre équipe.
